Blog · 11. Juli 2026
Fußball ohne Regeln ist nur ein Platz mit 22 Spielern: Warum KI-Governance Innovation erst möglich macht
Kai Hermsen schreibt die KI-Spielregeln für Unternehmen. Sein überraschender Befund: Nicht die Regeln lähmen die KI-Nutzung, sondern ihr Fehlen. Und der EU AI Act überfordert genau die, die er schützen soll.
Kai Hermsen entwickelt KI-Richtlinien für Unternehmen, vom Konzern bis zum Mittelstand. In Folge 2 von Agenda 2036 erklärt er, warum Governance kein Bremsklotz ist, welche zwei Regeln jedes Unternehmen braucht und wo der EU AI Act sein Ziel verfehlt. Die wichtigsten Aussagen aus dem Gespräch.
Die erste Frage ist nicht “welches Tool”, sondern “warum”
Hermsens Einstieg in jedes Beratungsgespräch überrascht viele Geschäftsführer: “Meine allererste Frage ist: Warum? Warum begebt ihr euch auf diese Reise? Das Spannende ist, die Antwort dauert manchmal ein bisschen, weil darauf einige gar nicht gefasst sind.” Die Standardantwort “Effizienz” lässt er nicht gelten, denn Effizienz will jedes Unternehmen. Interessant wird es erst bei der Frage, wie KI zum konkreten Unternehmen passt und ob die ganze Organisation das Ziel teilt.
Ohne Regeln entsteht keine Freiheit, sondern Lähmung
Die verbreitete Annahme lautet: Regeln bremsen Innovation. Hermsen beobachtet in der Praxis das Gegenteil. Wer Tools ohne Rahmen ausrollt, bekommt keine mutigen Experimente, sondern verunsicherte Mitarbeiter: “Das Ganze führt eher zu einer Lähmung, als dass man sich frei ausprobieren kann.” Sein Vergleich: “Fußball ohne Regeln ist einfach nur ein Platz mit 22 Spielern und einem Ball. Ein guter Sport hat genau so viele Regeln, dass man sich darin frei entfalten kann. Die Governance, wenn gut gemacht, setzt genau diesen Rahmen. Und dann macht das Spielen erst richtig Spaß.”
Die zwei Regeln, die Hermsen jedem Unternehmen mitgibt
Erstens, Human in the Loop: “Traue der KI nicht blind. Alles, was KI macht, gehört nochmal überprüft.” Das gilt für Texte, Bilder und Code gleichermaßen. Dahinter steckt mehr als Fehlervermeidung, nämlich Verantwortung: “Eine KI kann keine Verantwortung übernehmen, sonst haben wir ein Verantwortungsloch. Das funktioniert übrigens nicht nur in Deutschland nicht, das funktioniert weltweit nicht.”
Zweitens, Least Privilege: Jeder KI-Agent bekommt nur so viele Berechtigungen wie unbedingt nötig. Der Grund sind reale Schadensfälle: “Wir sehen mehr und mehr Fälle, wo agentische Systeme einfach mal Allgemeinzugang bekommen und dann Schaden anrichten. Mir will nicht in den Kopf, warum ein Agent Zugang zur gesamten produktiven Datenbank eines Unternehmens hat.”
Der EU AI Act überfordert die Falschen
Hermsen hält den Ansatz des EU AI Act grundsätzlich für richtig, sieht aber ein Umsetzungsproblem: Große Konzerne haben ganze Compliance-Abteilungen, der Mittelstand nicht. “Es gibt noch keine Codes of Practice, die nutzbar sind, obwohl im August alles scharf geschaltet wird. Die Zeitpläne sind ehrlich gesagt nicht passend für KMU. Wir schaffen eine Überforderung bei denen, die eigentlich geschützt werden müssten.”
Trotzdem widerspricht er dem verbreiteten Bild, Europa reguliere sich ins Abseits: Auch China und die USA regulieren, nur anders. Und auf der SXSW in Austin habe er erlebt, wie amerikanische KI-Firmen Regulierung inzwischen selbst fordern, weil sie Vertrauen schafft. Seine Pointe: “Wir sind als Deutsche ziemlich gut darin, uns genau in solchen Umgebungen zu bewegen. Ich glaube, das ist sogar genau unsere Stärke.” Die KMU, die er täglich sieht, fänden smarte Wege und bauten damit am Ende bessere Produkte.
Agents of Agents: Wenn KI die KI kontrolliert
Ein Blick in die nahe Zukunft: Governance selbst wird agentisch. “Wir bauen heute schon Agents of Agents, die nur für die Governance zuständig sind. Ein Agent, der nur Social Engineering bei anderen Agenten betreibt”, um Sicherheitslücken zu finden, bevor es Angreifer tun. Die Regeln aufstellen darf die KI allerdings nicht: “Wer, wenn nicht die Geschäftsführung, soll das definieren? Sonst hat das überhaupt keine Bindungskraft.” Und ein Restproblem bleibt ohnehin bestehen: “KI ist genauso schlecht darin, sich an Regeln zu halten, wie Menschen.”
Sein Rapid-Fire für 2036
Selbstregulierung der Industrie statt KI-Richtlinie vom Staat. KI in Schulen ab Klasse 1: absolut. Verträge unterschreiben darf KI nicht. Im Zweifel lieber zu viel Datenschutz als zu viel Innovation. Und Datenschutz wird in den Köpfen der User wichtiger, nicht unwichtiger. Alle Antworten im Thesen-Netz.
Das ganze Gespräch: Folge 02 mit Kai Hermsen.